Pire Mois De Hacks Crypto 2026 : 768 Millions Volés

Septembre 2026 ne laissera pas un souvenir discret. En quelques semaines, le secteur a vu s’accumuler des pertes brutes estimées autour de 768 millions de dollars, un niveau qui dépasse nettement le mois d’août et place cette période en tête de l’année. Deux affaires ont presque à elles seules fixé le ton : la brèche de Bitget et l’exploit du Liquid Network. Le reste du tableau, plus fragmenté, a ajouté des millions supplémentaires. Le chiffre impressionne. Il mérite surtout d’être lu avec méthode.

Ce Que Révèle Vraiment Le Bilan De Septembre

Les cabinets de surveillance ne comptent pas exactement de la même façon. PeckShield a recensé 55 incidents majeurs et environ 766,5 millions de dollars volés. CertiK a relevé 97 événements et a estimé les pertes à 768,4 millions. L’écart sur le nombre d’affaires est réel. L’écart sur la valeur totale, lui, tient dans une enveloppe de moins de deux millions. Autrement dit, le marché discute du détail, pas de l’ordre de grandeur.

Août avait déjà été actif, mais à une autre échelle. PeckShield parlait alors d’une cinquantaine d’attaques pour près de 136,3 millions. CertiK, avec sa propre grille, plaçait le même mois autour de 220,3 millions. Le saut de septembre n’est donc pas un bruit statistique. C’est une bascule.

Septembre 2026 a connu 55 attaques majeures et 766,49 millions de dollars de pertes, soit une hausse d’environ 462 % par rapport aux 136,3 millions d’août.

PeckShieldAlert

Il faut aussi poser une distinction que trop de titres négligent. Le total mensuel mesure la valeur brute touchée par des incidents de sécurité. Il ne dit pas, à lui seul, ce qui reste définitivement perdu. L’affaire Liquid le montre avec une clarté rare : une grande partie des bitcoins extraits a été rendue en moins de vingt-quatre heures. Le mois reste le plus cher de 2026. Il n’est pas forcément le plus irréversible.

Deux Méthodes De Comptage, Un Même Ordre De Grandeur

Pourquoi 55 incidents d’un côté et 97 de l’autre ? Parce que les firmes ne filtrent pas les mêmes seuils. Certaines privilégient les affaires « majeures ». D’autres agrègent davantage de cas, y compris des vols plus modestes, des compromissions de clés, des bugs de protocoles ou des incidents de ponts. Le lecteur pressé voit une contradiction. L’analyste voit deux filets jetés dans le même océan.

Cette divergence a une vertu. Elle empêche de sacraliser un seul tableau de bord. Elle rappelle aussi que la sécurité crypto n’est pas un objet unique. Une plateforme centralisée, une fédération sidechain, un portefeuille grand public et un casino en ligne n’offrent pas la même surface d’attaque. Les additionner dans un même mois reste utile pour le récit. Cela ne suffit pas pour comprendre chaque faille.

Bitget, Le Choc Le Plus Lourd Du Mois

Le 24 septembre, Bitget a confirmé qu’environ 387,5 millions de dollars avaient atteint des adresses contrôlées par l’attaquant. L’estimation initiale tournait autour de 351,6 millions. L’enquête a ensuite élargi le périmètre. Ce n’est pas un détail de communication. C’est le signe qu’un incident de cette taille se lit rarement en une seule photographie.

La brèche a touché une partie de l’infrastructure de hot wallets et de warm wallets, sur Ethereum et d’autres réseaux EVM, mais aussi sur le XRP Ledger, Zcash et Tron. Les actifs concernés comprenaient notamment ETH, XRP, USDT, USDC, ZEC, BNB, AVAX et TRX. L’échange a indiqué que les cold wallets et les clés privées associées n’avaient pas été compromis. Cette frontière, si elle tient, change le diagnostic : on n’est pas face à un effondrement total des réserves froides, mais face à une rupture du périmètre chaud.

Les investigations menées avec Mandiant et SlowMist ont orienté l’attention vers un logiciel de sécurité tiers compromis. Selon Bitget, cette faille a donné à l’attaquant un accès non autorisé à l’environnement de portefeuilles, puis a permis de forger des ordres de retrait. Le récit n’est donc pas celui d’une clé froide extraite d’un coffre. C’est celui d’une chaîne de confiance externe qui a cédé.

Après le vol, une partie des fonds a commencé à circuler via des services inter-chaînes. Un portefeuille a notamment converti environ 2 390 ETH en 75,2 BTC par THORChain. AMLBot a également suivi près de quatre bitcoins vers une transaction Wasabi CoinJoin. Ces mouvements n’épuisent pas l’enquête. Ils montrent simplement que le temps de réaction, après un incident de cette ampleur, se joue aussi hors de la chaîne d’origine.

Ce Que Bitget A Tenté De Réparer Dans L’urgence

L’échange a ensuite rouvert progressivement les retraits de BTC, ETH et USDT. Son dernier rapport de preuve de réserves indiquait un ratio total de 131 % sur 19 actifs couverts. La société a aussi déclaré avoir reconstitué son Protection Fund au-dessus de 300 millions de dollars au 30 septembre. Ces chiffres ne referment pas l’affaire. Ils dessinent toutefois une stratégie classique après un choc : montrer de la solvabilité, rassurer sur les stocks froids, et remettre un filet interne en place.

Le traçage des fonds reste ouvert. Bitget a annoncé une prime de 5 % pour toute aide qualifiée qui aboutirait concrètement au gel ou à la récupération d’actifs. Circle et Tether avaient gelé environ 318 000 dollars de stablecoins liés à l’incident durant les premiers jours. La somme est faible au regard des 387 millions. Elle rappelle pourtant qu’une partie du butin, dès qu’elle touche des jetons émis par des entités identifiables, peut être freinée.

Le calendrier opérationnel, lui, s’est étalé. Les retraits restants en tokens, en fiat et en P2P étaient prévus pour reprendre le 2 octobre à 08h00 UTC, selon le plan de rétablissement progressif. Dans ce type de crise, la communication sur les horaires n’est pas un accessoire. Elle devient un test de crédibilité : tenir une date, ou la décaler, dit autant que le communiqué lui-même.

Liquid, Un Exploit Technique Et Un Dénouement Inhabituel

Le 6 septembre, le Liquid Network a subi l’autre grand choc du mois. Une vulnérabilité dans le code Elements a permis de créer environ 4 000 L-BTC sans bitcoin de réserve correspondant. Liquid a expliqué qu’une erreur dans le cache de vérification des rangeproofs avait laissé passer une transaction malveillante. L’attaquant a ensuite utilisé le processus habituel de peg-out pour retirer près de 4 000 BTC réels.

La réserve fédérée est alors tombée d’environ 4 205 BTC à 197 BTC. CertiK a indépendamment chiffré le montant touché à 3 998,5 L-BTC, soit près de 318,7 millions de dollars au moment de l’exploit. Sur le papier, c’est presque un second Bitget. Dans les faits, la suite a divergé.

Après des échanges via des messages onchain et des négociations avec l’équipe, l’attaquant a rendu 3 400 BTC dès le 7 septembre. Liquid a ensuite estimé qu’environ 602 BTC restaient en souffrance. Près de 85 % des bitcoins extraits sont donc revenus en une journée. Au moment du remboursement, ces pièces valaient autour de 269 millions de dollars.

Le chiffre de 766 à 768 millions doit se lire comme une valeur brute affectée, pas comme l’argent encore définitivement disparu.

Lecture du bilan mensuel

Ce retour ne retire pas l’incident des tableaux de septembre. Les firmes de sécurité comptabilisent l’événement au moment où la faille est exploitée. Elles n’effacent pas une ligne parce qu’une partie des fonds revient. C’est frustrant pour le narratif. C’est cohérent pour l’historique des risques.

Pourquoi L’affaire Liquid N’est Pas Un Simple Vol

Bitget décrit un accès obtenu via une infrastructure tierce et des commandes de retrait forgées. Liquid décrit un défaut de validation logicielle. Dans un cas, la confiance se brise autour d’un outil externe. Dans l’autre, c’est le code de consensus d’une sidechain qui laisse passer une création non adossée. Les deux événements gonflent le même total. Ils n’enseignent pas la même leçon.

CertiK a décrit le défaut Liquid comme un problème d’encodage ambigu de clé de cache dans la vérification des preuves de range d’Elements. La formulation est technique. L’idée, elle, est simple : une optimisation destinée à accélérer une vérification a ouvert une fenêtre. Blockstream a ensuite déployé un correctif d’urgence, interrompu le réseau, puis publié Elements v23.3.4 avec une implémentation durcie du cache de preuves.

La production de blocs a repris le 9 septembre après correction de la chaîne touchée. Les opérations de peg restaient toutefois suspendues à ce stade. Liquid a lancé un audit indépendant de la version corrigée et un travail de remplacement des entrées d’autorisation de peg-out avant de rétablir des retraits réguliers. Au 29 septembre, les peg-outs n’étaient toujours pas rouverts, sans date fixe de reprise. La récupération des bitcoins n’a donc pas refermé le dossier opérationnel.

Les Incidents Plus Petits Qui Ont Complété Le Compte

Hors des deux géants, CertiK a isolé plusieurs pertes plus modestes. Safe Wallet a subi un incident estimé à 7,8 millions de dollars. DCENT et Duelbits ont enregistré des pertes d’environ 6 millions et 5,9 millions. Ces montants paraissent secondaires après Bitget et Liquid. Ils ne le sont pas pour les utilisateurs concernés, ni pour la cartographie du risque.

Un mois de sécurité ne se résume jamais à deux titres. Les petites brèches révèlent souvent des habitudes plus banales : clés exposées, processus internes trop souples, dépendances logicielles mal suivies, interfaces de signature trop permissives. Elles pèsent moins dans le total. Elles reviennent plus souvent.

• Safe Wallet : environ 7,8 millions de dollars.
• DCENT : autour de 6 millions de dollars.
• Duelbits : près de 5,9 millions de dollars.
• Autres cas : une longue traîne d’incidents plus réduits intégrés surtout par CertiK.

2026 Était Déjà Une Année Lourde Avant Septembre

Les données 2026 de CertiK couvrent désormais 656 incidents de sécurité et environ 2,68 milliards de dollars de pertes. Septembre devient le plus gros mois de l’année en valeur estimée. Avant cela, les recherches sur les hacks DeFi des huit premiers mois parlaient déjà d’au moins 1,3 milliard de dollars perdus, avec un rôle important des identifiants compromis et des clés privées dans plusieurs affaires majeures.

Le contraste de septembre est donc double. D’un côté, deux événements hors normes font exploser la courbe. De l’autre, le fond de l’année montrait déjà une pression continue. On n’est pas passé d’un calme relatif à une catastrophe isolée. On est passé d’une érosion régulière à un pic.

Cette lecture annuelle compte pour les équipes risque autant que pour les investisseurs. Un fonds de protection de 300 millions rassure après une perte de 387 millions, à condition que le reste du bilan tienne. Un audit d’urgence rassure après un bug de cache, à condition que la reprise des pegs ne rouvre pas une autre fenêtre. Les chiffres mensuels font le bruit. Les processus font la suite.

Ce Que Le Mot « Perdu » Ne Dit Pas

Le public aime les totaux ronds. 768 millions. Pire mois. Record de l’année. Ces formules circulent vite. Elles écrasent pourtant trois réalités différentes : l’argent encore chez l’attaquant, l’argent gelé par des émetteurs, et l’argent rendu après négociation. Liquid a rendu visible la troisième catégorie. Bitget illustre surtout la première, avec une petite poche de stablecoins gelés.

Une autre nuance concerne le prix. Un exploit daté du 6 septembre n’a pas la même valorisation qu’un mouvement observé le 30. Les cabinets figent souvent une valeur au moment de l’incident. Les marchés, eux, continuent de bouger. Un bitcoin rendu le lendemain n’a pas forcément le même dollar qu’un bitcoin extrait la veille. Pour un bilan journalistique, l’ordre de grandeur suffit. Pour un audit financier, il faudrait une horloge plus fine.

La Confiance Tierce, Point Faible Des Plateformes

Le cas Bitget replace au centre un sujet que l’industrie connaît mais traite trop souvent comme un détail d’intendance : la dépendance à des outils de sécurité fournis par des tiers. Un échange peut afficher des cold wallets intacts et, malgré tout, voir son environnement chaud basculer. La frontière entre infrastructure interne et logiciel externe n’est pas une ligne nette. C’est une série de permissions, de sessions, de signatures et de routines de validation.

Quand cette chaîne casse, le discours public bascule vers la preuve de réserves, le fonds de protection et le calendrier des retraits. Ces messages sont nécessaires. Ils ne répondent pas à la question première : comment un outil censé protéger l’environnement a-t-il servi de porte ? Tant que cette question reste floue, le marché jugera l’incident à sa taille, pas à sa cause.

Les utilisateurs, eux, regardent des signaux plus concrets. Les retraits reviennent-ils ? Les ratios de réserve tiennent-ils ? Les stablecoins liés au vol sont-ils gelés ? Ces indicateurs ne prouvent pas qu’une architecture est saine. Ils indiquent seulement si la plateforme peut encore fonctionner après le choc.

Les Sidechains N’échappent Pas À La Gravité Du Code

Liquid reposait sur une promesse différente : un bitcoin tokenisé, une fédération, des preuves, un peg. L’exploit a montré qu’une erreur de cache pouvait créer des L-BTC non adossés, puis les convertir en BTC réels via un processus considéré comme normal. Ce n’est pas une attaque contre un hot wallet d’exchange. C’est une attaque contre une hypothèse de validation.

Le remboursement rapide change le récit humain. Il ne change pas le diagnostic technique. Une sidechain peut récupérer des fonds et rester, pendant des semaines, incapable de rouvrir sereinement ses peg-outs. La liquidité promise par le nom du réseau devient alors un paradoxe : le bitcoin est revenu, le mécanisme d’entrée-sortie pas encore.

C’est pourquoi l’audit d’Elements v23.3.4 et le remplacement des autorisations de peg-out importent autant que les 3 400 BTC restitués. Un réseau peut survivre à un vol partiellement inversé. Il survit plus difficilement à un doute durable sur la règle qui décide ce qui est valide.

Ce Que Les Chiffres Disent Du Comportement Des Attaquants

Les deux grandes affaires de septembre n’ont pas suivi le même script. D’un côté, des fonds qui commencent à transiter, à changer de chaîne, à chercher des mixages. De l’autre, un attaquant qui dialogue, rend l’essentiel, et laisse un reliquat. On aurait tort d’y voir deux morales. On y voit deux calculs.

Rendre 3 400 BTC après avoir vidé une réserve n’efface pas l’exploit. Cela peut réduire la pression, limiter les poursuites perçues, ou simplement clore une opération devenue trop visible. Le marché n’a pas à romancer ce geste. Il a à le comptabiliser : l’incident a eu lieu, une fraction majeure est revenue, une fraction demeure ouverte.

Du côté Bitget, le mouvement vers THORChain et vers un CoinJoin indique une autre priorité : transformer et brouiller. Là encore, décrire ces flux n’est pas livrer une recette. C’est constater que le temps perdu après la détection a un prix. Plus les actifs bougent, plus le recouvrement dépend d’acteurs tiers, de gels ciblés et de négociations incertaines.

Preuve De Réserves, Fonds De Protection, Promesses Après Coup

Après une brèche, les plateformes sortent souvent les mêmes outils de communication. La preuve de réserves vise à montrer que les stocks restants couvrent les soldes clients. Le fonds de protection vise à montrer qu’un choc n’entraîne pas automatiquement une perte sociale. Le calendrier de réouverture vise à montrer que l’exploitation quotidienne reprend.

Bitget a joué sur les trois tableaux : ratio de 131 %, fonds reconstitué au-dessus de 300 millions, retraits principaux déjà rétablis, reste annoncé pour le 2 octobre. Ces éléments ont une valeur informative. Ils ont aussi une limite. Un ratio de réserve ne dit pas comment l’accès chaud a été obtenu. Un fonds ne dit pas si le même vecteur peut revenir. Une date de retrait ne dit pas si la dépendance tierce a été réellement isolée.

Le public crypto a appris, à force de crises, à lire ces signaux sans les prendre pour une absolution. C’est sain. Une plateforme peut être solvable et vulnérable. Elle peut être liquide et mal isolée. Elle peut publier un rapport rassurant et rester au milieu d’une enquête.

Ce Que Les Utilisateurs Peuvent Observer Sans Se Prendre Pour Des Enquêteurs

Inutile de transformer chaque lecteur en analyste onchain. Quelques points de vigilance suffisent. D’abord, séparer clairement ce qui est stocké sur une plateforme et ce qui reste sous contrôle personnel. Ensuite, regarder si une enseigne communique des périmètres précis : chaud, tiède, froid, réseaux touchés, actifs concernés. Enfin, distinguer un gel de stablecoins, un remboursement volontaire et une perte encore mobile.

Le mois de septembre offre un manuel involontaire de ces distinctions. Bitget a listé des réseaux et des tokens. Liquid a chiffré une réserve avant et après. Les cabinets ont publié des totaux proches malgré des méthodes différentes. Cette abondance de données n’élimine pas l’incertitude. Elle évite au moins le brouillard total.

Il reste une règle simple, presque banale, et pourtant oubliée dès que les marchés montent : la commodité des hot wallets a un coût. Ce coût n’apparaît pas chaque jour. Il apparaît par grappes, comme en septembre, lorsque plusieurs architectures lâchent en même temps pour des raisons différentes.

Le Rôle Ambivalent Des Cabinets De Sécurité

PeckShield et CertiK occupent désormais une place médiatique presque aussi visible que les plateformes qu’ils observent. Leurs alertes deviennent des dépêches. Leurs totaux deviennent des titres. Cette visibilité a un mérite : elle impose un rythme de transparence que le secteur n’aurait pas toujours choisi. Elle a aussi un biais : le mois le plus cher devient le mois le plus raconté, même si d’autres périodes plus silencieuses préparaient déjà le terrain.

Le décalage entre 55 et 97 incidents devrait d’ailleurs être enseigné plutôt que dissimulé. Il montre que la « sécurité crypto » n’est pas une statistique naturelle. C’est une convention de collecte. Tant que cette convention n’est pas unique, le lecteur doit accepter une fourchette. Ici, la fourchette de valeur est étroite. Celle du nombre d’affaires est large. Les deux informations sont utiles.

À l’échelle de l’année, les 656 incidents et les 2,68 milliards de CertiK dressent un décor plus important que le seul record de septembre. Un mois extrême peut venir d’un bug et d’une brèche d’exchange. Une année extrême vient d’une accumulation. 2026, à ce stade, raconte surtout cette accumulation.

Ce Que Ce Mois Change Pour La Lecture Du Risque

Le réflexe habituel, après un gros titre, consiste à dire que la crypto « n’est toujours pas sûre ». La phrase est trop large pour être fausse, et trop large pour être utile. Septembre 2026 dit autre chose : les risques ne se ressemblent pas, même lorsqu’ils s’additionnent dans le même communiqué.

Une plateforme centralisée peut perdre des centaines de millions via un logiciel tiers sans que ses cold wallets ne bougent. Une sidechain fédérée peut voir sa réserve s’effondrer via un défaut de cache, puis récupérer l’essentiel après négociation. Un portefeuille ou un service plus petit peut perdre quelques millions et disparaître des gros titres. Mélanger ces cas dans un seul record mensuel sert l’attention. Séparer leurs causes sert la compréhension.

Il faut aussi accepter une ironie du calendrier. Le même mois où Liquid récupère 3 400 BTC, Bitget reconstitue un fonds et rouvre des retraits, le secteur entier se retrouve collé à un chiffre de 768 millions. La mémoire collective retiendra le total. Les équipes techniques, elles, devront retenir les vecteurs.

Une Chronologie Serrée, Des Conséquences Longues

Le 6 septembre, Liquid bascule. Le 7, l’essentiel des bitcoins revient. Le 9, la production de blocs reprend, pas les pegs. Le 24, Bitget annonce une brèche qui sera ensuite réévaluée à 387,5 millions. Fin septembre, le fonds de protection est dit reconstitué, les retraits principaux reviennent, les peg-outs de Liquid restent suspendus. Début octobre, le reste des retraits Bitget est annoncé.

Cette compression du temps donne l’impression d’une saison unique. En réalité, chaque dossier va vivre plus longtemps que le cycle médiatique. Le traçage Bitget continue. L’audit Liquid continue. Les 602 BTC restants continuent de peser. Les cabinets continueront d’ajouter septembre à leurs courbes annuelles, remboursement ou non.

C’est là que le journalisme de marché doit résister à la facilité. Un record mensuel n’est pas une morale. C’est un agrégat. Derrière l’agrégat, il y a des réserves qui tiennent, d’autres qui se vident, des fonds qui reviennent, d’autres qui se diluent, des dates tenues et des dates encore vides.

Ce Qu’il Faudra Surveiller Après Le Record

Trois dossiers restent ouverts au moment où le mois bascule dans les archives. Premier dossier : la part encore mobile des fonds Bitget, le résultat des primes, et la capacité réelle à figer davantage que 318 000 dollars de stablecoins. Deuxième dossier : la réouverture des peg-outs Liquid, l’audit d’Elements et le traitement des 602 BTC non rendus. Troisième dossier : la manière dont les totaux 2026 seront révisés si d’autres remboursements interviennent, ou si d’autres incidents majeurs s’ajoutent en octobre.

Il faudra aussi observer si l’industrie tire des leçons distinctes. Durcir les dépendances logicielles d’un côté. Revoir les caches et les preuves de l’autre. Publier plus tôt les périmètres touchés. Séparer plus clairement pertes brutes et pertes nettes. Rien de tout cela n’est spectaculaire. Tout cela serait plus utile qu’un nouveau superlatif.

Septembre 2026 restera le mois où la crypto a perdu, sur le papier, près de 768 millions de dollars. Il devrait aussi rester le mois où l’on a vu, en parallèle, un remboursement massif, une enquête sur un outil tiers, une preuve de réserves brandie en urgence, et un réseau sidechain capable de récupérer des pièces sans récupérer tout de suite son fonctionnement normal. Le record est simple. L’histoire, elle, ne l’est pas.

Une Mémoire Utile Plutôt Qu’Un Simple Classement

Les classements mensuels ont un effet pervers. Ils transforment des architectures différentes en une seule compétition de dégâts. Or le lecteur n’a pas besoin d’un podium. Il a besoin d’une grille. Qui a perdu l’accès à un environnement chaud ? Qui a vu une règle de validation céder ? Qui a récupéré des fonds ? Qui a seulement rouvert des retraits ? Qui a gelé une fraction ? Qui n’a encore aucune date ?

Si cette grille circule autant que le total de 768 millions, le mois n’aura pas servi qu’à alimenter l’anxiété. Il aura servi à lire le secteur avec un peu plus de netteté. Bitget et Liquid n’ont pas raconté la même panne. Les cabinets n’ont pas compté le même nombre d’affaires. Les utilisateurs n’ont pas subi le même type d’exposition. Garder ces écarts visibles, voilà le seul antidote sérieux au superlatif.

Le pire mois de 2026 n’est donc pas seulement un record de pertes. C’est un révélateur. Il montre la vitesse à laquelle deux incidents distincts peuvent écraser un tableau annuel déjà chargé. Il montre aussi qu’un chiffre brut, même solide, ne dit pas la fin de l’histoire. Entre ce qui a été touché, ce qui a été rendu, ce qui a été gelé et ce qui reste à rouvrir, septembre laisse davantage qu’un palmarès. Il laisse une carte. Encore faut-il accepter de la lire sans la réduire à son total.